Fastslå hvilken australsk myndighet som gjelder
E-postforsikring fra den australske regjeringen begynner med enhetens status og dets vedtatte sikkerhetsrammeverk. En manuell informasjonssikkerhetskontroll fra september 2026 er ikke, bare av eksisterende, en lov som er pålagt enhver australsk virksomhet. Anvendelsessiden for Protective Security Policy Framework sier at ikke-korporative Commonwealth-enheter som er underlagt PGPA-loven, må anvende PSPF, i den grad det er i samsvar med lovgivningen. Andre organisasjoner trenger sin egen adopsjon, kontraktsmessig eller sektorspesifikk grunnlag registrert. PSPF-anvendelse.
Ministerdirektivet om sikkerhet for statlig virksomhet ble utstedt 3. juli 2025. Det gir en identifiserbar policymyndighet for den dekkede Commonwealth-befolkningen. Registrer denne myndigheten separat fra den tekniske kontrollkatalogen og fra den lokale beslutningen som velger kontroller for et system. En statsavdeling, et universitet og en Commonwealth-enhet bør ikke tildeles identisk juridisk status bare fordi postinfrastrukturen deres ser lik ut. Ministerdirektiv.
Ta vare på den manuelle utgaven og kontrollidentifikasjonene
ISM-e-postkapittelet fra september 2026 gir nøyaktige implementeringsmål. ISM-0861 adresserer utgående DKIM signering; ISM-1026 tar for seg verifisering av innkommende signaturer. ISM-1540 krever avvisningspolicy for organisasjonsdomener, inkludert underdomener, når meldinger mislykkes DMARC. ISM-1799 adresserer innkommende meldinger som mislykkes DMARC . Dette er separate poster: en publisert utgående policy viser ikke at en inngående gateway utfører den nødvendige evalueringen. September 2026 e-postkontroller.
Ta vare på kontrollnummer, revisjon, oppdatert dato og bruksmerker nøyaktig i den lokale vurderingen. Utgivelsesdatoen og en individuell kontrolls revisjonsdato er forskjellige fakta. Flere autentiseringskontroller i septemberutgaven beholder tidligere revisjonsdatoer. Det viste Essential Eight-feltet er N/A for disse kontrollene; ikke rebrand dem som et ekstra Essential Eight-modenhetsnivå. Et kildesitat må også beholde om det tar for seg signering, verifisering, distribusjonslisteadferd eller policypublisering.
Forene katalogetiketter på høyt nivå
Oppføringen i Australian Government Architecture skaper en viktig leseforsiktighet. Den viser en obligatorisk overholdelsesetikett mens dens anvendelighetstekst beskriver ISM som anbefalt for ikke-bedrifter Commonwealth-enheter og som ASDs vurderte råd. Denne siden alene kan ikke løse den nøyaktige forpliktelsen for et bestemt system. Behold avviket og la eieren av sikkerhetspolicyen identifisere det styrende PSPF-kravet, retningen, kontrakten eller byråets retningslinjer, i stedet for å velge hvilken etikett som støtter et sterkere salgskrav. AGA ISM oppføring.
Denne forskjellen er nyttig selv der implementering er klart nødvendig. The authority answers who must act; den valgte kontrollen svarer på hva som bør implementeres; bevis svarer på om organisasjonen har gjort det. Å kombinere alle tre til ett enkelt grønt samsvarsmerke gjør senere gjennomgang vanskeligere. Hvis gjeldende policy endres, bør det opprinnelige beslutningssporet forklare hvorfor en kontroll ble inkludert og hvilken systemgrense den dekket.
Oversett kontroller til observerbare bevis
For utgående signering foreslår du en prøveplan som omfatter godkjente tjenester, velgere og domener. For innkommende validering, foreslå mottakersidebevis som identifiserer gatewayen, regelversjonen og autentiseringsresultatet. For DMARC retningslinjer, ta vare på det forespurte navnet, svaret, observasjonstid og underdomenebehandling. Ingen av disse observasjonene er samlet inn for denne artikkelen. Beviskartet beskriver derfor forventede gjenstander og foreslåtte eiere, med aksept eksplisitt ufylt.
Teknisk tolkning bør bruke gjeldende protokollsemantikk. RFC 9989 specifies DMARC 's domain-alignment evaluation; det gjør ingen vellykket signatur til bevis på at den synlige avsenderen er justert. En gyldig DKIM signatur fra et urelatert domene kanskje ikke tilfredsstiller policyen som vurderes. På samme måte hindrer ikke en restriktiv policy en angriper fra å bruke en annen lookalike domene or a compromised legitimate account. Hold de gjenværende risikoene utenfor det smale kontrollresultatet. DMARC kjerne.
Bruk en fiktiv flertjenestevurdering
Vurder en fiktiv Commonwealth-tjeneste med ansattes e-post, bevillingsmeldinger og en eksternt operert e-postliste. Det foreslåtte kartet tildeler utgående signering og domenepolicybevis til meldingsteamet, leverandørmeldingsbevis til eieren av tilskuddstjenesten og inngående valideringsbevis til gatewayoperatøren. The mailing-list row references the ISM control on preserving external senders' DKIM validity, rather than assuming that successful staff-mail delivery covers list redistribution. No such service was inspected here.
The assessment should not demand an immediate DNS change merely because one row is blank. Fastslå først om blanken betyr ikke aktuelt, ikke implementert, utilgjengelig bevis eller en uutført test. These states require different responses. Registrer en tidsbestemt undersøkelse og personen som kan godkjenne eventuelle korrigerende tiltak. A vendor's claim that it supports DMARC is not evidence that the particular grant-notification route is correctly configured.
Eskaler hull uten å overdrive samsvar
Bring materielle kilder uklarheter til byråets retningslinjer eller juridiske spesialist. Ta med protokolltolkning og gateway-atferd til den tekniske SMB. Ta med manglende leverandørforpliktelser til tjenesteeier. Beslutningsprotokollen skal vise hvem som løste hvert spørsmål og om løsningen endrer omfang, kontrollutvalg eller bevisforventninger. Ikke bytt ut en poengsum for kommersiell levering med en bekreftelseskonklusjon under byråets rammeverk.
Se gjennom kartet når en ny ISM-utgave, PSPF-retning, leverandørbytte eller systemklassifisering påvirker tjenesten. Behold erstattede øyeblikksbilder med datoene, slik at historiske avgjørelser fortsatt kan forklares uten å presentere gamle kontroller som gjeldende. Publiseringsdatoer for retningslinjer beviser ikke implementeringsdatoer, og en dokumenthash bekrefter ikke at et byrå godtok innholdet.
Det eksakte oppdragsbeviset er: En myndighet-til-kontroll-tabell gjennomgått av den aktuelle regulatoriske eller juridiske spesialist. Denne pakken gir et ugjennomgått autoritetskart, ikke spesialistens besluttsomhet. Originalt systembevis, byråanvendelse, teknisk aksept, produksjonspresentasjon og publiseringstillatelse forblir åpne. Ingen australske organisasjoners konfigurasjon ble forespurt eller endret, og det er ikke utstedt et sertifikat for overholdelse av lover.